CVE-2024-6692: podatność Stored Cross-Site Scripting w Easy Digital Downloads

Co wiadomo

Wtyczka Easy Digital Downloads dla WordPress do wersji 3.3.2 jest podatna na atak Stored Cross-Site Scripting poprzez wartość tekstu umowy. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność pozwala administratorom na wstrzyknięcie i wykonanie złośliwych skryptów w panelu WordPress, co może prowadzić do naruszenia integralności i bezpieczeństwa witryny. Choć ryzyko jest niskie i wymaga uprawnień administratora, organizacje korzystające z multisite lub wyłączonego unfiltered_html powinny zweryfikować swoje środowiska pod kątem tej luki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Easy Digital Downloads i jej instalację. W przypadku braku łatki, ogranicz dostęp administratorów oraz rozważ ponowne włączenie filtrowania unfiltered_html. Monitoruj logi pod kątem podejrzanej aktywności i priorytetyzuj działania zabezpieczające w środowiskach multisite.

Źródła

• NVD
• Reference
• Reference